Malware berbasis memori adalah program berbahaya yang hanya berjalan di memori tanpa menulis ke disk, sehingga memungkinkan serangan tersembunyi yang menghindari deteksi virus konvensional. Perlindungan Aplikasi menggunakan teknologi RASP (Runtime Application Self-Protection) untuk menganalisis data memori, mendeteksi malware berbasis memori secara real time, serta mencegat injeksi dan eksekusi malware tersebut. Topik ini menjelaskan cara menggunakan fitur pertahanan terhadap malware berbasis memori.
Prasyarat
Daftarkan aplikasi Java Anda ke Perlindungan Aplikasi dan pastikan instans aplikasinya telah diotorisasi. Untuk informasi selengkapnya, lihat Mendaftarkan aplikasi ke Perlindungan Aplikasi.
Logika deteksi dan pencegatan
Fitur pertahanan terhadap malware berbasis memori mendeteksi ancaman seperti malware berbasis memori, upaya injeksi, dan panggilan eksekusi berbahaya dalam instans yang diotorisasi dari suatu kelompok aplikasi. Fitur ini menyediakan kemampuan pertahanan melalui mesin deteksi berikut:
Deteksi malware berbasis memori: Mesin ini memindai memori untuk mencari kode berbahaya guna menemukan ancaman tersembunyi dan menampilkan peringatan deteksi malware berbasis memori di Konsol. Anda dapat mengaktifkan mesin ini dengan mengaktifkan sakelar Memory Shell Detection untuk suatu kelompok aplikasi.
Pada kotak dialog Protection Policy, klik tab Detection Settings, lalu aktifkan sakelar Memory-Resident Malware Detection.
Injeksi malware berbasis memori: Mesin ini memantau dan mencegat serangan malware berbasis memori secara real time, termasuk perilaku injeksi dan eksekusinya. Mesin ini diaktifkan ketika jenis deteksi untuk suatu kelompok aplikasi mencakup In-memory Webshell Injection. Jika Protection Mode untuk kelompok aplikasi diatur ke Monitoring, mesin ini hanya melaporkan peringatan tanpa memblokir ancaman. Jika Protection Mode diatur ke Block, mesin ini secara aktif memblokir panggilan mencurigakan dan menghasilkan peringatan yang sesuai. Mesin ini menyediakan dua metode pencegatan untuk mempertahankan diri dari serangan yang menargetkan berbagai middleware.
Pencegatan selama proses injeksi: Dengan memantau fungsi API sensitif, RASP dapat mengamati perilaku penyerang secara real time, seperti menginjeksikan malware berbasis memori melalui eksekusi ekspresi atau deserialisasi. RASP dapat memblokir serangan tersebut selama proses injeksi, sehingga mencegah malware masuk ke konteks aplikasi.
Pencegatan selama eksekusi: Jika malware berbasis memori berhasil diinjeksikan dan mencoba berjalan, RASP menggunakan kombinasi pembelajaran mendalam dan pengenalan perilaku untuk memantau eksekusi program. Dengan membandingkan perilaku program terhadap basis data tanda tangan berbahaya yang dikenal, teknik ini dapat secara akurat mengidentifikasi dan mencegah aktivasi serta eksekusi malware tanpa mengganggu operasi bisnis normal. Akibatnya, meskipun malware telah ditanamkan di sistem, penyerang tidak dapat menggunakannya.
Lihat dan tangani peringatan
Secara default, Perlindungan Aplikasi mengaktifkan deteksi malware berbasis memori untuk semua kelompok aplikasi. Setelah Anda mendaftarkan aplikasi ke Perlindungan Aplikasi, ikuti langkah-langkah berikut untuk melihat dan menangani peringatan malware berbasis memori.
Masuk ke Konsol Security Center.
Di panel navigasi kiri, pilih . Di pojok kiri atas konsol, pilih wilayah tempat aset Anda berada: Chinese Mainland atau Outside Chinese Mainland.
Pada halaman Application Protection, pada tab In-memory Webshell Prevention, tentukan kelompok aplikasi dan rentang waktu yang ingin Anda lihat.
Lihat In-memory Webshell Alert Trend, In-memory Webshell Distribution, dan daftar peringatan malware berbasis memori.
Alert for In-memory Webshell Detection: Peringatan ini mengidentifikasi file malware berbasis memori statis yang terdeteksi oleh mesin deteksi. Daftar berikut menjelaskan status penanganan peringatan tersebut:
Unhandled: Mesin deteksi telah mendeteksi file malware tersebut. Anda harus menangani peringatan ini secara manual dan segera.
Automatically handled and blocked: Mesin injeksi malware berbasis memori mendeteksi eksekusi file malware yang memicu peringatan tersebut dan memblokir eksekusinya. RASP dapat mempertahankan diri dari malware ini dengan presisi tinggi. RASP juga memblokir upaya eksekusi berikutnya. Anda dapat melakukan restart aplikasi untuk menghapus file malware dari memori.
Unhandled and monitored: Mesin injeksi malware berbasis memori mendeteksi eksekusi file malware yang memicu peringatan tersebut tetapi tidak memblokir eksekusinya. Perilaku ini ditentukan oleh pengaturan Protection Mode kelompok aplikasi. Anda dapat mengaktifkan fitur perlindungan untuk kelompok aplikasi tersebut dengan satu klik.
Berikut ini penjelasan status aktif dan tidak aktif peringatan:
Aktif: Instans aplikasi yang memicu peringatan sedang online.
Tidak aktif: Instans aplikasi yang memicu peringatan sedang offline.
Alert for In-memory Webshell Insertion: Peringatan ini mengidentifikasi event yang terdeteksi oleh model injeksi malware berbasis memori.
Pada kolom Actions peringatan target, klik Details. Lihat tab Details dan Alert Analysis untuk menentukan apakah Anda perlu menangani peringatan tersebut.
Pada tab Details, jika Anda ingin melihat kode sumber program Java yang berjalan di memori, aktifkan sakelar Decompiled Java File. Jika Anda menonaktifkan sakelar ini, Security Center tidak akan menampilkan kode hasil dekompilasi.
Tab Alert Analysis menggunakan model bahasa besar berbasis AI untuk menganalisis kode yang berjalan di memori dan memberikan bukti mengapa kode tersebut diidentifikasi sebagai malware berbasis memori. Gunakan informasi ini untuk menilai apakah malware yang terdeteksi benar-benar merupakan ancaman dan meningkatkan efisiensi respons Anda.
PentingAnda harus mengaktifkan sakelar Decompiled Java File untuk melihat konten pada tab Alert Analysis. Fitur analisis peringatan menganalisis file Java hasil dekompilasi.
Tab Detailed Information berisi area-area berikut: Asset Information (menampilkan nama instans dan alamat IP aset host, serta PID, versi RASP, versi JDK, direktori aplikasi, dan cmdline aset aplikasi), Memory-Resident Malware Details (menampilkan bidang seperti nama kelas, tingkat kepercayaan, class loader, jenis malware, antarmuka yang diwariskan, nama kelas induk, ukuran file kelas, status penanganan, dan karakteristik malware; Anda dapat menangani peringatan dengan mengklik Mark as Handled, Ignore, atau Delete Record), Decompiled Java File (menampilkan kode sumber hasil dekompilasi setelah Anda mengaktifkan sakelar), dan Event Description (berisi deskripsi event dan saran remediasi, seperti melakukan restart layanan untuk menghapus malware berbasis memori atau mengaktifkan modul pertahanan malware berbasis memori).
Tangani peringatan malware berbasis memori.
Menangani malware berbasis memori secara manual: Lakukan restart aplikasi selama jam sepi untuk menghapus malware berbasis memori. Kemudian, atur status penanganan menjadi Mark as Handled di konsol.
Mengaktifkan perlindungan dengan satu klik: Ubah mode perlindungan kelompok aplikasi yang berisi server yang terpengaruh menjadi Block. Setelah Anda mengaktifkan perlindungan, mesin secara otomatis mencegat semua upaya injeksi dan eksekusi malware berbasis memori berikutnya dalam kelompok aplikasi ini.
Abaikan: Jika Anda tidak perlu menangani peringatan tersebut, atur status penanganan menjadi Ignore di konsol.
Tambahkan ke daftar putih: Buka tab Attack Alerts. Pada kolom Actions peringatan injeksi malware berbasis memori target, klik Handle untuk menambahkan peringatan tersebut ke daftar putih. Untuk informasi selengkapnya, lihat Menambahkan peringatan ke daftar putih.
CatatanPeringatan deteksi malware berbasis memori tidak dapat ditambahkan ke daftar putih.
Mengaktifkan atau menonaktifkan pertahanan terhadap malware berbasis memori
Perlindungan Aplikasi mengontrol pertahanan terhadap malware berbasis memori di tingkat kelompok aplikasi. Untuk mengaktifkan atau menonaktifkan pertahanan terhadap malware berbasis memori untuk suatu kelompok aplikasi, ikuti langkah-langkah berikut.
Masuk ke Konsol Security Center.
Di panel navigasi kiri, pilih . Di pojok kiri atas konsol, pilih wilayah tempat aset Anda berada: Chinese Mainland atau Outside Chinese Mainland.
Pada halaman Application Protection, klik tab Application Configurations. Pada kolom Actions kelompok aplikasi target, klik Protection Policy.
Pada panel Protection Policy, pada tab Protection Policy, pilih atau batalkan pemilihan kelompok kebijakan perlindungan yang mencakup In-memory Webshell Injection sebagai jenis deteksi.
Jika Anda memilih kelompok kebijakan perlindungan yang mencakup In-memory Webshell Injection sebagai jenis deteksi, mesin injeksi malware berbasis memori diaktifkan. Jika Protection Mode diatur ke Monitor, mesin hanya melaporkan peringatan dan tidak memblokir ancaman. Jika Protection Mode diatur ke Block, mesin melaporkan peringatan dan memblokir upaya injeksi serta eksekusi malware berbasis memori.
Pada panel Protection Policy, pada tab Detection Policy, aktifkan atau nonaktifkan sakelar Memory Shell Detection, lalu klik OK.
Jika Anda mengaktifkan sakelar deteksi malware berbasis memori, deteksi malware berbasis memori diaktifkan untuk kelompok aplikasi tersebut.